تأمين أنظمة AS/400 و IBM i Green Screen باستخدام SSO الحديث

ملخص تنفيذي

تستمر أنظمة AS/400 و IBM i في دعم عمليات التصنيع واللوجستيات والتوزيع والخدمات المصرفية والتأمين والعمليات الإدارية. ومع ذلك، لا تزال تجربة المصادقة في العديد من هذه البيئات تركز على عمليات تسجيل الدخول إلى الشاشة الخضراء 5250 التي تعتمد على أسماء المستخدمين وكلمات المرور وسير عمل المحطات الطرفية المشتركة.

وهذا يخلق فجوة بين الطبيعة الحرجة للأنظمة وطريقة التحكم في الوصول إليها. ترغب العديد من المؤسسات في الحصول على أمان أقوى، وتحسين إسناد المستخدمين، والتوافق مع منصات الهوية المؤسسية، ولكنها لا تستطيع تحمل تكلفة تعطيل التطبيقات الناضجة أو إعادة تصميم سير العمل الحيوي للأعمال الذي تم تطبيقه منذ سنوات.

الطريقة الأكثر فعالية للمضي قدماً ليست إعادة بناء التطبيق، بل تأمين طبقة المصادقة المحيطة به.

Credenti المؤسسات Credenti تحديث الوصول إلى IBM i من خلال إدخال طرق مصادقة بدون كلمات مرور ومقاومة للتصيد الاحتيالي قبل بدء جلسة 5250. وهذا يتيح للفرق تحسين الوضع الأمني وتقليل الاعتماد على كلمات المرور وتعزيز قابلية التدقيق مع الحفاظ على تجربة الشاشة الخضراء الأساسية التي يعتمد عليها المستخدمون بالفعل.

لماذا هذا مهم الآن

لا تزال أنظمة IBM i تدير عمليات مهمة، ولكن العديد من المؤسسات لا تزال تؤمنها بنماذج وصول إلى الشاشة الخضراء باستخدام اسم المستخدم وكلمة المرور، والتي لم تعد تتوافق مع توقعات الهوية الحديثة.

الحفاظ على سير العمل القديم‍

تحديث المصادقة دون الحاجة إلى إعادة كتابة تطبيقات AS/400.

تعزيز الإسناد

اربطالوصول إلى المحطة الطرفية المشتركة بهوية فردية حقيقية.

توسيع خيارات المصادقة

دعمتجارب تسجيل الدخول باستخدام الشارة والوجه QR والهاتف المحمول.

التوافق مع هوية المؤسسة

دمجسير عمل الوصول مع Okta.

‍

تحدي المصادقة في بيئات IBM i

غالبًا ما تكون بيئات IBM i في قلب استمرارية العمليات. قد لا يزال تطبيق الشاشة الخضراء يدير عمليات المستودعات، وسجلات الإنتاج الصناعي، والعمليات المالية، ومعالجة المطالبات، ورؤية المخزون، أو تنفيذ الطلبات. ونظرًا لأن هذه الأنظمة لا تزال متأصلة بعمق في الأعمال، غالبًا ما يتم تحسين أنماط الوصول من أجل السرعة والألفة بدلاً من ضمان الهوية الحديثة.

حقائق مشتركة

يصل المستخدمون إلى 5250 جلسة من خلال سير عمل المحطات الطرفية القديمة التي تتطلب اسم مستخدم وكلمة مرور، غالبًا على أجهزة أو محطات مشتركة تدعم التبديل السريع للمشغلين.

الاحتكاك الشائع

تضيف طرق MFA التقليدية انقطاعات، وتسبب اعتمادًا على الأجهزة، أو لا تتناسب مع البيئات التي لا يمكن للمستخدمين فيها حمل هواتفهم أو لا يملكون فيها محطات عمل مخصصة.

ونتيجة لذلك، يمكن أن تصبح أنظمة IBM i جزر هوية. فهي تظل ذات أهمية حاسمة للأعمال، ولكنها غالبًا ما تكون مرتبطة بشكل فضفاض بحوكمة الوصول الحديثة، واستراتيجيات المصادقة المقاومة للتصيد الاحتيالي، ومعايير الهوية المؤسسية المطبقة بالفعل في أماكن أخرى.

المخاطر الأمنية للمصادقة التقليدية باستخدام الشاشة الخضراء

تم تصميم نماذج الوصول 5250 القائمة على كلمة المرور لعصر مختلف. في البيئات الحديثة، فإنها تنطوي على العديد من المخاطر العملية والمتعلقة بالتدقيق.

الاعتماد على كلمة المرور

لا يزال المستخدمون يعتمدون على بيانات الاعتماد التي يمكن إعادة استخدامها أو مشاركتها أو التصيد الاحتيالي لها أو إساءة استخدامها في بيئات تشغيلية ذات حجم كبير.

إسناد ضعيف

تجعل المحطات المشتركة والجلسات الموروثة من الصعب إثبات من قام بالوصول إلى النظام أو تنفيذ إجراء ما.

حلول بديلة تشغيلية

غالبًا ما تنشئ الفرق اختصارات للحفاظ على السرعة، مما قد يؤدي إلى إنشاء حسابات عامة أو تخزين بيانات الاعتماد أو تقليل المساءلة.

حيث تشعر المنظمات بالألم

تكافح فرق الأمن من أجل توسيع نطاق سياسات MFA المؤسسية لتشمل بيئات IBM i بطريقة تجعل المستخدمين يتبنونها بالفعل.

تريد فرق العمليات عدم حدوث أي انقطاع في سير عمل الشاشة الخضراء ولا يمكنها تحمل تكرار مشاكل تسجيل الدخول على الأجهزة الطرفية المشتركة.

تحتاج فرق التدقيق والامتثال إلى أدلة أقوى على الوصول على مستوى المستخدم، وليس مجرد دليل على وصول جهاز طرفي إلى التطبيق.

تريد فرق القيادة ضوابط هوية حديثة دون إطلاق مشروع تحديث كبير للأنظمة القديمة.

لماذا لا تفي طريقة SSO التقليدية بالغرض

غالبًا ما تفترض المؤسسات أن مشاريع SSO التقليدية ستحل مشكلة IBM i. في الواقع، نادرًا ما تتناسب أنظمة الشاشة الخضراء تمامًا مع افتراضات SSO الحديثة التي تركز على المتصفح. حتى عندما يكون التكامل ممكنًا من الناحية التقنية، قد يكون من الصعب نشره، أو يكون محدودًا في تجربة المستخدم، أو غير مناسب للمحطات المشتركة والتشغيلية.

وذلك لأن التحدي الحقيقي لا يكمن في الاتحاد فحسب، بل في كيفية إنشاء هوية مستخدم موثوقة عند نقطة الوصول بطريقة تناسب المستخدمين التشغيليين، وتحافظ على سرعة الجلسة، وتناسب نموذج التطبيق الذي تم تصميمه قبل وقت طويل من أن تصبح اتفاقيات SSO الحديثة معيارًا.

بالنسبة للعديد من بيئات AS/400، يعتمد النجاح على تحديث التحكم في الوصول حول الجلسة بدلاً من محاولة فرض الشاشة الخضراء في نموذج المصادقة الذي يعتمد على المتصفح أولاً.

Credenti

Credenti طبقة المصادقة حول الوصول إلى IBM i دون الحاجة إلى تغيير طريقة عمل تطبيق الشاشة الخضراء نفسه. بدلاً من إعادة بناء نظام الأعمال، تطبق الفرق إجراءات أقوى للتحقق من الهوية قبل وصول المستخدم إلى جلسة 5250.

حماية سير عمل الوصول

استخدم طرق المصادقة الحديثة للتحقق من هوية الفرد قبل بدء أو استئناف الوصول إلى بيئة AS/400.

الحفاظ على التطبيق

حافظ على سير عمل IBM i الحالي دون تغيير حتى يتمكن المستخدمون من مواصلة العمل في بيئة الشاشة الخضراء المألوفة.

كيفية Credenti على هذه الحالة الاستخدامية

Credenti Tap

تمكين تجارب تسجيل الدخول باستخدام الشارات على محطات العمل المشتركة والمحطات التشغيلية حيث السرعة والبساطة أمران بالغا الأهمية.

Credenti You

اسمح للمستخدمين بالمصادقة على الجهاز باستخدام المقاييس الحيوية للوجه، مما يوفر تجربة سريعة وسهلة الاستخدام بدون كلمة مرور.

Credenti Unify

ربط منصات الهوية الحديثة وتدفقات الوصول القديمة حتى تتمكن المؤسسات من مواءمة وصول IBM i مع استراتيجية الهوية الأوسع نطاقًا.

نظرة عامة على الهندسة المعمارية

يوضح النموذج أدناه التدفق المفاهيمي. يقوم المستخدم أولاً بتحديد هويته من خلال طريقة Credenti . يمكن أن يتوافق قرار الوصول هذا مع استراتيجية الهوية المؤسسية للمنظمة، ثم يُمنح المستخدم حق الوصول إلى جلسة IBM i دون تغيير منطق تطبيق الشاشة الخضراء.

طرق المصادقة المدعومة

لا ينبغي أن يعتمد تحديث أمان IBM i على نمط وصول واحد. تحتاج البيئات المختلفة إلى طرق مختلفة لتأسيس الهوية مع الحفاظ على سهولة الاستخدام.

تسجيل الدخول بلمسة الشارة

مناسب تمامًا للمحطات المشتركة ومحطات العمل التشغيلية والبيئات التي يحتاج فيها المستخدمون إلى الوصول السريع دون الحاجة إلى إدخال بيانات الاعتماد.

تسجيل الدخول باستخدام المقاييس الحيوية للوجه

يوفر تجربة سريعة بدون كلمة مرور مباشرة على الجهاز، مما يساعد على تقليل الاحتكاك مع تعزيز الإسناد الفردي.

تسجيل الدخول QR الهاتف المحمول

يوفر خيارًا إضافيًا للبيئات التي يمكنها دعم التحقق من الهوية بواسطة الجهاز دون الاعتماد على كلمات المرور.

تأمين المحطات المشتركة دون إبطاء العمليات

تعد مشكلة المحطات الطرفية المشتركة واحدة من أصعب مشكلات IBM i. غالبًا ما تستخدم المستودعات وأرضيات التصنيع ومناطق الشحن والعدادات وعمليات المكاتب الخلفية أجهزة يلمسها العديد من الأفراد على مدار اليوم. يؤدي تسجيل الدخول والخروج باستخدام مطالبة كلمة المرور التقليدية في كل مرة إلى حدوث احتكاك، لذلك تبحث الفرق بطبيعة الحال عن طرق مختصرة.

Credenti تصميم Credenti لتأمين هذا النموذج دون إجبار الفرق على التخلي عنه. يمكن للمستخدمين إثبات هويتهم بسرعة عند نقطة الاستخدام، والوصول إلى الجهاز، ومتابعة سير العمل على الشاشة الخضراء التي يعرفونها بالفعل. وهذا يساعد في الحفاظ على السرعة مع استعادة المساءلة.

الهدف ليس إبطاء عمليات المحطات الطرفية المشتركة. الهدف هو جعلها قابلة للتحديد وأكثر أمانًا وأسهل في الإدارة.

الاستمرارية في العمل دون اتصال بالإنترنت

تقع العديد من حالات استخدام IBM i بالقرب من العمليات التي تكون فيها الاستمرارية أكثر أهمية من ظروف الشبكة المثالية. قد تحتاج المؤسسات إلى حل يستمر في دعم مصادقة المستخدمين حتى عندما تكون الاتصال ضعيفًا أو غير موثوق به أو مقيدًا عن قصد.

وهذا أمر مهم في المصانع ومواقع التوزيع والعمليات عن بُعد وبيئات النقل وغيرها من السيناريوهات التي لا يمكن فيها توقف الأعمال الحيوية بسبب عدم توفر الخدمات السحابية مؤقتًا. يدعم وضع منصة Credentiالأوسع نطاقًا سير عمل الوصول القوي في البيئات التي تعتبر فيها استمرارية الأعمال والمرونة في العمل دون اتصال بالإنترنت متطلبات تصميم مهمة.

الامتثال ومواءمة المخاطر

يساعد تحديث الوصول إلى أنظمة AS/400 و IBM i المؤسسات على دعم أهداف أمنية وإدارية أوسع نطاقًا. على الرغم من اختلاف المتطلبات حسب القطاع، إلا أن الموضوعات المشتركة متسقة: تقليل تعرض كلمات المرور للخطر، وتعزيز إسناد المسؤولية على مستوى المستخدم، وتحسين أدلة التحكم في الوصول، ومواءمة الأنظمة القديمة بشكل أفضل مع توقعات الهوية المؤسسية.

الحد من المخاطر

تقليل الاعتماد على بيانات الاعتماد الضعيفة أو المشتركة في البيئات التشغيلية الحرجة.

قابلية التدقيق

تحسين القدرة على ربط أحداث الوصول وبدء سير العمل بهوية مستخدم محددة وموثقة.

يمكن أن تدعم هذه النتائج مبادرات الرقابة الداخلية، فضلاً عن التوافق الأوسع مع الأطر والتوقعات المتعلقة بضمان الوصول والمساءلة التشغيلية والحد من مخاطر الأنظمة القديمة.

حالات الاستخدام الشائعة في الصناعة

التصنيع

أمن محطات الإنتاج المتصلة بتطبيقات IBM i دون تعطيل سير العمل التشغيلي عالي السرعة.

اللوجستيات والتوزيع

تحسين ضمان الهوية في المستودعات ومحطات التوزيع التي تعتمد على الوصول المشترك إلى الأنظمة القائمة على 5250.

الخدمات المصرفية والتأمين

تعزيز المصادقة لأنظمة المعاملات والمعالجة القديمة مع الحفاظ على تجارب المشغل المألوفة.

خلاصة القول

لا تحتاج المؤسسات إلى الاختيار بين الاحتفاظ بأنظمة IBM i وتحسين المصادقة. يمكنها الحفاظ على التطبيق وسير العمل، مع الاستمرار في تنفيذ طبقة هوية أقوى وأكثر حداثة حول الوصول.

توسيع نطاق SSO الحديث ليشمل أنظمة IBM i (AS/400) و iSeries و 5250 Terminal Systems

بمجرد أن تقوم المؤسسات بتحديث تجربة المصادقة للمحطات الطرفية ومحطات العمل المشتركة، فإن الخطوة التالية هي توسيع نطاق ضوابط الهوية هذه لتشمل أنظمة IBM i نفسها. تعتمد العديد من البيئات التي تعمل بنظام IBM i (AS/400) وأنظمة iSeries على تطبيقات المحطات الطرفية 5250 التي لم تصمم أبدًا لتتوافق مع معايير الاتحاد الحديثة مثل SAML أو OIDC.

غالبًا ما تعمل هذه الأنظمة على بنية IBM Power Systems وتدعم أحمال العمل المهمة في عمليات التصنيع واللوجستيات والخدمات المصرفية والتأمين. نادرًا ما يكون استبدال هذه التطبيقات أمرًا عمليًا، مما يعني أن تحسينات الأمان يجب أن تحدث حول سير عمل الوصول بدلاً من داخل التطبيق نفسه.

Credenti إمكانية تسجيل الدخول الأحادي (SSO) لبيئات IBM i من خلال التحقق من هوية المستخدم قبل بدء جلسة العمل على الجهاز الطرفي. بعد المصادقة من خلال مزودي الهوية المؤسسية مثل Okta، يمكن للمستخدمين بدء أو استئناف جلسات AS/400 الخاصة بهم دون الحاجة إلى إدخال كلمات المرور يدويًا. يتيح ذلك للمؤسسات إدخال AS400 MFA والمصادقة بدون كلمة مرور وتخصيص هوية أقوى مع الحفاظ على سير العمل المألوف على الشاشة الخضراء الذي يعتمد عليه المشغلون.

توسيع نطاق إدارة الهوية لتشمل IBM i (AS/400)

تحديث المصادقة ليس سوى جزء واحد من تأمين المنصات القديمة. تحتاج المؤسسات أيضًا إلى إدارة متسقة للهوية ودورة الحياة عبر جميع الأنظمة، بما في ذلك بيئات IBM i.

Credenti ذلك من خلال موصل IBM AS/400 الذي يدمج أنظمة IBM i مع منصات الهوية المؤسسية مثل Okta. وهذا يتيح للمؤسسات إدارة دورة حياة الهوية بالكامل — من إنشاء الحساب إلى إلغاء التزويد — مع الحفاظ على رؤية واضحة لوصول المستخدمين وأنشطتهم داخل أنظمة IBM i.

حوكمة الهوية

الشفافية في الامتثال

تجميع بيانات الحوكمة من أنظمة IBM i لدعم تحليل الامتثال ومراجعات الوصول واكتشاف الحسابات المزيفة أو غير المصرح بها.

مراقبة نشاط المستخدم

توفير رؤية واضحة لأنشطة المستخدمين في بيئات AS/400، مما يعزز قابلية التدقيق ويدعم الضوابط التنظيمية والأمنية الداخلية.

إدارة دورة حياة الهوية

توفير المستخدمين

قم بإنشاء حسابات مستخدمين جديدة في IBM i تلقائيًا عند إدخال الهويات من خلال منصة الهوية المؤسسية.

تحديثات الحساب

مزامنة تغييرات الأدوار وتحديثات الملفات الشخصية وسمات الهوية بين مزود الهوية وحسابات IBM i.

تعطيل الحساب

قم بتعطيل أو إزالة حسابات IBM i تلقائيًا عندما يغادر المستخدمون المؤسسة أو لم يعودوا بحاجة إلى الوصول إليها.

يعمل الموصل من خلال Credenti Provisioning Gateway، وهي خدمة خاضعة للتدقيق SOC 2 Type II تعمل في Amazon Web Services (AWS). وهذا يتيح مزامنة الهوية الآمنة وإدارة دورة الحياة لبيئات IBM i / AS400 مع الحفاظ على الموثوقية على مستوى المؤسسات وضوابط الامتثال.

أتمتة دورة حياة الهوية في IBM i باستخدام SCIM

لتفعيل إدارة الهوية على نطاق واسع، تعتمد المؤسسات بشكل متزايد على معيار نظام إدارة الهوية عبر المجالات (SCIM). Credenti أتمتة دورة الحياة المستندة إلى SCIM لتشمل بيئات IBM i (AS/400) و iSeries، التي تفتقر عادةً إلى الدعم الأصلي لبروتوكولات التزويد الحديثة.

باستخدام بوابة توفيرCredenti يمكن مزامنة الهويات من منصات مثل Okta مباشرة مع أنظمة IBM i. وهذا يتيح لفرق تكنولوجيا المعلومات أتمتة توفير حسابات المستخدمين وتحديثها وإلغاء توفيرها مع الحفاظ على سياسات هوية متسقة عبر الأنظمة الحديثة والقديمة.

التزويد الآلي

قم بإنشاء ملفات تعريف مستخدمي IBM i تلقائيًا عند انضمام الموظفين إلى الشركة ومنحهم حق الوصول إلى منصة الهوية المؤسسية.

مزامنة السمات

مزامنة سمات الملف الشخصي وتغييرات الاستحقاقات وتحديثات الأدوار بين بيئات Okta و IBM i.

إلغاء التزويد التلقائي

قم بتعطيل أو إزالة ملفات تعريف مستخدمي AS/400 فور مغادرة المستخدم للمؤسسة، مما يقلل من الحسابات اليتيمة ومخاطر عدم الامتثال.

تتوافق هذه البنية مع أنظمة IBM i التي تعمل على IBM Power Systems مع الممارسات الحديثة لإدارة دورة حياة الهوية، مما يضمن مشاركة المنصات القديمة بشكل كامل في استراتيجيات حوكمة الهوية المؤسسية.

تدفق إدارة دورة حياة الهوية لـ IBM i

يوضح تدفق دورة الحياة أدناه كيف يمكن أن ينشأ حدث التزويد في مزود الهوية، ويتم معالجته من خلال Credenti ثم يتم تطبيقه على IBM i بتنسيق يمكن للمنصة تنفيذه بشكل أصلي. هذا هو النمط المعماري الرئيسي الذي يسمح لـ IBM i بالمشاركة في سير عمل الانضمام والانتقال والمغادرة الحديثة دون الحاجة إلى دعم SCIM أصلي على جانب AS/400.

ما الذي يحفز سير العمل

عادةً ما يؤدي حدث الانضمام أو الانتقال أو المغادرة في Okta إلى تغيير في تخصيص التطبيق، مما يؤدي بدوره إلى إنشاء معاملة توفير SCIM للتطبيق المتصل بـ IBM i.

وظيفة الموصل

يقوم موصل IBM AS/400 المحلي بتعيين سمات SCIM وإجراءات دورة الحياة إلى عمليات ملف تعريف المستخدم الأصلي لـ IBM i بحيث يمكن للمنصة المستهدفة معالجتها دون دعم SCIM الأصلي.

من الناحية العملية، هذا يعني أنه يمكن إنشاء مستخدم في Okta، وتعيين وصوله إلى التطبيق المتصل بـ IBM i، ثم تزويده تلقائيًا بـ IBM i / AS400. يمكن أن تتبع التغييرات اللاحقة، مثل تحديثات السمات أو تغييرات الوصول أو التعليق أو الإنهاء، نفس مسار دورة الحياة مع قابلية تدقيق متسقة.

‍